Le piège classique
Le considérant 155 éclaire les articles 72 et 73 du AI Act sur la surveillance post-commercialisation et le signalement d'incidents graves. En pratique, les fournisseurs de systèmes d'IA a haut risque concoivent un magnifique système de gestion des risques avant la mise sur le marché, puis l'abandonnent une fois le produit deploye. Or l'AI Office et les autorités de surveillance du marché (désignation à venir au Luxembourg) attendent un dispositif vivant qui capture l'expérience réelle d'usage, détecte les derives d'apprentissage continu, et déclenche un signalement sous 15 jours (72h pour les infrastructures critiques ou les atteintes graves a la santé) des qu'un incident grave survient. Sans traçabilité, la sanction tombe au titre de l'article 99 (jusqu'à 15 M'EUR ou 3% du CA mondial).
Ce que le considérant impose concrètement dans votre dispositif
- Un plan de surveillance post-commercialisation documente, proportionné au niveau de risque du système et a son contexte d'usage.
- Une analyse explicite des interactions avec d'autres systèmes d'IA, dispositifs et logiciels en aval (chaîne de valeur).
- Un mécanisme de détection des derives pour les systèmes qui continuent a apprendre après déploiement (model drift, data drift, concept drift).
- Une exclusion expresse des données opérationnelles sensibles des déployeurs qui sont des autorités repressives.
- Un canal de remontée structure depuis les déployeurs vers le fournisseur, et du fournisseur vers l'autorité compétente.
- Une qualification automatique de la gravité : deces, atteinte grave a la santé, perturbation d'infrastructure critique, violation de droits fondamentaux, dommage matériel ou environnemental.
Le piège spécifique de l'apprentissage continu
Pour les systèmes qui reapprennent en production (LLM fine-tunes en continu, modèles de scoring crédit reentraines mensuellement, systèmes de recommandation RLHF), le considérant 155 impose une vigilance accrue. Le modèle conforme au moment de la mise sur le marché peut devenir non conforme trois mois plus tard sans qu'aucune ligne de code n'ait change. La preuve de conformité doit être continue, pas ponctuelle.
Comment Luxgap automatise ce risque
Notre Luxgap AI Drift Sentinel transforme l'obligation déclarative de surveillance post-commercialisation en preuve technique horodatée, opposable a l'AI Office et a l'autorité luxembourgeoise de surveillance du marché. L'agent se connecte directement a vos pipelines MLOps (MLflow, Azure ML, Vertex AI, AWS SageMaker, Databricks) et a vos systèmes de telemetrie produit (Datadog, Grafana, Sentry) pour capturer en temps réel les signaux de derive sans demander a vos data scientists de remplir le moindre formulaire.
- Détecte automatiquement les derives statistiques (population stability index, KL divergence, accuracy decay) sur chaque modèle en production et déclenche une alerte Teams ou Slack des qu'un seuil critique est franchi.
- Classifie chaque incident remonte selon la grille article 3(49) du AI Act (deces, santé, infrastructure critique, droits fondamentaux, environnement, biens) et pre-calcule le délai de notification applicable (72h ou 15 jours).
- Cartographie la chaîne d'interactions IA en aval (votre système alimente quel autre système, intégré quelles bibliotheques, exposé quelles API) pour matérialiser l'analyse exigée par le considérant 155.
- Génère automatiquement le rapport d'incident grave pre-rempli au format attendu par l'AI Office, avec horodatage cryptographique et chaîne de preuve scellée.
- Exclut nativement les flux de données marques law enforcement du périmètre de telemetrie, conformément à l'exception du considérant 155.
- Produit un journal de surveillance post-commercialisation continu, opposable lors d'un contrôle, démontrant la conformité article 72 sur toute la durée de vie du système.
Disponible en complément d'un mandat CISO ou DPO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos modèles réels en production, avec un audit blanc gratuit sous 48h pour mesurer votre exposition aux derives avant tout engagement.
